(转载)Bro：一个开放源码的高级NIDS系统

Bro：一个开放源码的高级NIDS系统

创建时间：2003-10-12
文章属性：原创
文章提交： stardust (stardust_at_xfocus.org)

在介绍Bro之前先总结一下几个常见的开放源码NIDS系统：

Snort ( http://www.snort.org/ )
目前最著名最活跃的开放源码NIDS项目，定位于轻量级的入侵检测系统，已经实现了网络探测器和许多第三方的管理及日志分析工具，广泛使用在对检测准确性要求不高的非高速网络环境下。对其进行介绍及分析资料辅天盖地，国内当前大多数的IDS产品都是在其基础上修改出来的。Snort的成功之处在于其高效的整体设计编码、简洁明了的规则描述设计及已经成一定规模的攻击检测规则集，它的规则集已经被很多其他开放源码IDS项目所兼容。

Prelude IDS ( http://www.prelude-ids.org/ )
目前比较活跃的开放源码混和IDS项目，比较注重IDS各组件的模块化设计，组件之间使用标准IDMEF格式进行通讯，从设计的方式来看定位于适应大型网络的需求，当前已经实现了网络探测器、日志分析器、告警信息集中查看分析工具。其网络探测器部分基本上翻版了Snort的功能，完全兼容Snort的规则集。

Firestorm ( http://www.scaramanga.co.uk/firestorm/index.html )
不太出名的开放源码NIDS项目，目前仅实现了探测器部分，完全兼容Snort的规则集，功能上也基本上差不多，可以把告警信息记录到Prelude IDS的管理器，但自称性能上比Snort强很多。

NetSTAT ( http://www.cs.ucsb.edu/~rsg/STAT/ )
一个学术界的开放源码的IDS项目，基于STAT(State Transition Analysis Technique，状态迁移分析技术)描述攻击的研究成果，使用特有的STATL语言描述攻击，攻击描述文本被STATL解释工具转换为C++代码编译进检测引擎来实现检测功能，目前已经发布了STATL语言解释转换工具及一个基本的示例网络探测器部分(很少的几个检测功能例子)。要熟练使用这个IDS工具需要比较强的编程功底，但用此IDS可以实现很复杂的检测功能。

可以看到当前大多数开放源码的NIDS项目都以Snort为基础，还有一些主要用于学术研究的IDS(比如NetSTAT)，Snort是用于了解NIDS技术的很好入门方式，学术领域的IDS主要用于验证某些思想概念的可行性，这类IDS一般实现使用复杂，注重检测的严谨准确，如果商业化还需要很大的努力。Snort实现简单，使用方便，但本质上只是一个可以匹配分析数据包payload的嗅探器而已，对于有丰富网络知识的网管来说是个称手的网络流量过滤分析工具。由于只能对TCP/UDP/ICMP数据包的payload及某些数据包属性做些简单的匹配操作，而且没有特定的规则关联机制，Snort对于攻击的检测只能是粗线条的。当前的主流商业NIDS产品已经普遍采用细致的应用层协议分析技术，应用层协议分析技术不仅能够极大地提高检测准确性和效率，更能带来基于协议分析的异常检测能力，基于规则类似病毒检测的方式只能检测已知攻击，而基于异常分析的检测却可能检测到某些未知攻击，这点是新NIDS产品的发展热点和方向，基于异常并结合误用的IDS产品将会是未来IDS/IPS产品的主流。Snort虽然对一些应用层协议如HTTP、PORTMAP、TELNET做了些简单的解码和处理，这些处理只是对匹配做的一些优化，远没有到协议分析的程度，Snort与当今主流IDS产品的差距越来越大，相对而言越来越落后，学习参考的价值越来越少。是不是存在技术上更有意思的开放源码的NIDS项目呢，我注意到了一个叫Bro的NIDS软件，它几乎提供了一切所希望见到的特性。

下面介绍一下Bro ( http://www.icir.org/vern/bro-info.html )，本文旨在分析Bro本身提供的一些很有意思且很有用的功能特性，不对其如何安装、配置、使用做介绍，那部分的内容可以参考软件包中的相关说明。

Bro是一个Vern Paxson实现的实时网络入侵检测软件，于98年对外发布，BSD license，它的最初设计目标是实现一个在100M网络下实时告警、机制与策略分离、高可扩展性的入侵检测及网络监视审计系统。

Bro的系统结构如下图示：
            
                      | 下发          ^ 实时
                      V 策略          | 告警
                   +-----------------------------+
                   |        策略脚本解释器       |